php - 用email而不是id做用户操作有什么问题吗？

Question

我正在开发移动应用程序。如果我选择通过电子邮件进行大部分用户查找，有什么问题吗？例如，当用户注册时，我会将他们的电子邮件保存在手机缓存中，并在下次打开时自动让他们登录。此外，当用户登录时，我会根据他们在文本字段中输入的电子邮件搜索该用户的信息(假设密码正确)。我这样做可能会遇到什么问题，也许是电子邮件在数据库中不匹配？另外我假设我也会在数据库中的电子邮件字段上放置一个索引？

另外，将用户电子邮件保存在手机缓存中是否存在任何安全风险？有人可能会欺骗它(这样他们就可以使用其他人的用户信息)吗？

Answer 1

如果您的通信 channel 是安全的，例如 TLS(SSL)，那么用户输入

101
johnny101@gmail.com
Excalibur10X

在身份验证期间加上密码从这方面来说同样没问题。通信是安全的，并且不为其他方和服务器跃点所知。注意，我说的是如果。

它假定您已执行安全注册，您的页面是安全的。此后您维护一些 session 状态应用程序服务器。您遵循最佳实践来避免 session 劫持。这意味着，在身份验证之后，您不会退回到非安全页面并以明文方式传递用户信息或允许劫持。

至于数据库性能，保存自然键或非计算机生成的 ID 就可以了。性能会稍微慢一些。希望很快我就可以在数千万数据库中使用更宽的键而不是 4 字节整数来记录这一方面。任何告诉你它会一样快的人，不要担心它会使用小型数据库或者不会用指标来支持它。证明是复杂的连接，而不是简单的一行查找。

不要泄露信息。不允许 SQL 注入(inject)。将这些放在首位。